Katalog podatności CVE

Zidentyfikowano podatność typu Missing Required Cryptographic Step w oprogramowaniu układowym Moxa dla komputerów przemysłowych. W wyniku niekompletnej naprawy wcześniejszej podatności CVE-2026-0714, szyfrowanie parametrów TPM2 nie zapewnia skutecznej ochrony.

Brak ograniczenia liczby nagłówków załączników w Apache CXF podczas deserializacji wiadomości może prowadzić do niekontrolowanego zużycia zasobów lub ataku DoS. Zalecana jest aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12, które wprowadzają domyślny limit 500 załączników na wiadomość.

W module integracji JCA w Apache CXF wykryto podatność na wstrzyknięcie JNDI, która może umożliwić wykonanie kodu, jeśli atakujący jest w stanie manipulować deskryptorem wdrożenia JCA (ra.xml) lub parametrami aktywacji.

W Apache CXF zidentyfikowano niepełną poprawkę dla wcześniejszej porady CVE-2026-44417 (niezaufana konfiguracja JMS może prowadzić do RCE), która nadal może umożliwić wykonanie kodu, jeśli nieufni użytkownicy mogą konfigurować JMS dla Apache CXF.

W AbstractOAuthDataProvider występuje wyścig, który pozwala równoczesnym żądaniom z tym samym tokenem odświeżania na ominięcie zasady jednorazowego użycia i wygenerowanie wielu ważnych tokenów dostępu, gdy 'recycleRefreshTokens' jest ustawione na false. Zalecana jest aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

Komputer wirtualizacyjny iVEC-IEI opracowany przez IEI Integration Corp posiada podatność na usuwanie dowolnych plików, co pozwala uwierzytelnionym zdalnym atakującym na usunięcie dowolnych plików lub katalogów systemowych, prowadząc do zniszczenia danych lub zakłócenia usług.

Komputer wirtualizacyjny iVEC-IEI opracowany przez IEI Integration Corp posiada podatność na wstrzykiwanie poleceń systemowych, co pozwala zdalnym atakującym z uprawnieniami na wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na urządzeniu.

Usługa SSH w CelloOS opracowanej przez Cellopoint ma podatność na niewłaściwą kontrolę dostępu, co pozwala uwierzytelnionym zdalnym atakującym na ominięcie nałożonych ograniczeń dotyczących poleceń i wykonanie poleceń systemu operacyjnego poza pierwotnie autoryzowanym zakresem.

Podatność w Idira Privileged Access Manager (PAM) Self-Hosted Vault przed wersjami 15.0.3, 14.6.5, 14.2.7 i 14.0.8 umożliwia nieoczekiwane zakończenie działania usługi. W określonych warunkach i konfiguracjach przetwarzanie nieprawidłowych danych wejściowych może prowadzić do lokalnej odmowy usługi (DoS).

Netty, framework do aplikacji sieciowych, przed wersją 4.2.15.Final miał domyślną konfigurację `Http3ConnectionHandler`, która nie narzucała maksymalnego limitu rozmiaru nagłówków. Brak tego ograniczenia umożliwia złośliwym klientom lub serwerom wysyłanie ogromnej liczby nagłówków, co prowadzi do wyczerpania pamięci i ataku typu Denial of Service.

Nieprawidłowa weryfikacja stanu w implementacji OAuth może umożliwić atakującemu manipulację procesem uwierzytelniania, co skutkuje powiązaniem konta ofiary z kontem kontrolowanym przez atakującego.

W określonych konfiguracjach sieciowych, złośliwy aktor mający dostęp do sieci może wykorzystać podatność na niewłaściwą kontrolę dostępu w niektórych urządzeniach działających na UniFi OS, aby wprowadzać nieautoryzowane zmiany w tych urządzeniach.

W urządzeniach działających na UniFi OS zidentyfikowano podatność typu Path Traversal, która może być wykorzystana przez złośliwego aktora mającego dostęp do sieci. Umożliwia to uzyskanie danych z tych urządzeń lub instancji UniFi OS.

Nieprawidłowa weryfikacja uprawnień dostępu podczas modyfikacji uprawnień przez Panel Sterowania Administracji (ACP) pozwoliła uwierzytelnionemu administratorowi na przyznanie uprawnień wykraczających poza poziom autoryzacji jego konta, co skutkuje eskalacją uprawnień w interfejsie administracyjnym.

Wersje Idira Vendor PAM - Self-Hosted Connector przed 1.1.100504 mogą nie egzekwować w pełni walidacji certyfikatów TLS w określonych warunkach i scenariuszach konfiguracyjnych.

W MongoDB Server występuje podatność typu use-after-free w silniku JavaScript po stronie serwera, która pojawia się podczas konwersji dokumentów BSON na tablice JavaScript. Użytkownik z uprawnieniami do odczytu, który może uruchamiać JavaScript po stronie serwera, może spowodować dostęp do pamięci, która została już zwolniona.

ClipBucket v5 to otwarta platforma do udostępniania wideo, która przed wersją 5.5.3 - #132 miała lukę umożliwiającą uwierzytelnionym użytkownikom dodawanie wielu napisów z różnych plików oraz zmianę ich tytułów. Żądanie POST /actions/subtitle_edit.php, używane do zmiany tytułów, zawiera parametr liczbowy podatny na atak SQL Injection.

W usłudze ONVIF urządzenia Tapo C110 v2 występuje podatność na formatowanie łańcuchów, spowodowana niewłaściwym przetwarzaniem danych kontrolowanych przez użytkownika. Zewnętrznie kontrolowane dane są interpretowane jako łańcuch formatu, co może prowadzić do manipulacji pamięcią stosu.

Wersje Idira Endpoint Privilege Manager Linux Agent przed 26.5 umożliwiają lokalnemu atakującemu potencjalne naruszenie inicjalizacji demona agenta.

W wyniku niekompletnej walidacji danych wejściowych w Idira Privileged Session Manager dla SSH (PSMP) w wersjach wcześniejszych niż 15.0.2, 14.6.3, 14.2.5 i 14.0.6, uwierzytelniony użytkownik o niskich uprawnieniach mógł potencjalnie wykonać dowolne polecenia na hoście PSMP.